BDU:2022-05992 (CVE-2022-3234)

Уязвимость функции getcmdline_int() текстового редактора Vim, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код

Опубликовано: 2022-09-30

Описание

Уязвимость функции getcmdline_int() текстового редактора Vim связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код путем открытия специально созданного вредоносного файла

Затрагиваемое ПО и версии

РЕД ОС (7.3)Astra Linux Special Edition (1.7)ОС ТД АИС ФССП России (ИК6)Альт 8 СПvim (до 9.0.0490)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.6)

Способ устранения

Использование рекомендаций:
Для Vim:
https://github.com/vim/vim/commit/1c3dd8ddcba63c1af5112e567215b3cec2de11d0

Для РЕД ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-vim-cve-2022-3234-cve-2022-3235/

Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения vim до версии 2:9.0.0626-1

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для Astra Linux Special Edition для архитектуры ARM для 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

https://github.com/vim/vim/commit/1c3dd8ddcba63c1af5112e567215b3cec2de11d0 https://huntr.dev/bounties/96d5f7a0-a834-4571-b73b-0fe523b941af https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-vim-cve-2022-3234-cve-2022-3235/https://goslinux.fssp.gov.ru/2726972/https://vuldb.com/ru/?id.209015 https://nvd.nist.gov/vuln/detail/CVE-2022-3235 https://altsp.su/obnovleniya-bezopasnosti/https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/

Проверьте безопасность своего сайта и почты → Полная проверка домена